1

Comptes et groupes de
services : MSA/VSA/gMSA
(v2.20)

Tutorial conu et rdig par Michel de CREVOISIER Fvrier 2014


SOURCES


Scurit des comptes :
http://technet.microsoft.com/fr-fr/library/dd367859%28v=ws.10%29.aspx
http://technet.microsoft.com/en-us/library/ff641729%28v=ws.10%29.aspx
http://msdn.microsoft.com/en-us/library/ms143504.aspx
http://blogs.technet.com/b/askds/archive/2009/09/10/managed-service-accounts-understanding-
implementing-best-practices-and-troubleshooting.aspx

Groupes gMSA :
http://technet.microsoft.com/en-us/library/jj128431.aspx
http://blogs.technet.com/b/askpfeplat/archive/2012/12/17/windows-server-2012-group-managed-
service-accounts.aspx
http://joedantoni.wordpress.com/2012/12/14/group-managed-service-accounts/


2

INDEX


SOURCES .............................................................................................................................................................. 1
INDEX ................................................................................................................................................................... 2
1. Introduction ................................................................................................................................................ 3
2. Managed Service Account (MSA) ............................................................................................................... 4
2.1 Prsentation ........................................................................................................................................ 4
2.2 Mise en place ....................................................................................................................................... 4
3. Virtual Service Account (VSA) ..................................................................................................................... 7
3.1 Prsentation ........................................................................................................................................ 7
3.2 Utilisation ............................................................................................................................................ 7
4. Groupes de services administrs (gMSA) ................................................................................................... 8
4.1 Prsentation ........................................................................................................................................ 8
4.2 Mise en place ....................................................................................................................................... 8
5. Outils ......................................................................................................................................................... 10
5.1 Outils PowerShell............................................................................................................................... 10
5.2 Console GUI ....................................................................................................................................... 10
Conclusion ......................................................................................................................................................... 11




3

1. Introduction

Face un besoin croissant concernant la scurisation des applications rseau stratgiques (telles que
SQL Server, Exchange, IIS, ) et avec la sortie de Windows Server 2008 R2 et Windows 7, deux
nouveaux types de comptes ont t introduits : les VSA (Virtual Service Account) et les MSA (Managed
Service Account). Ceux-ci permettent dune part de saffranchir de la gestion complexe des mots de
passe (blocage, expiration, renouvellement, ) et dautre part de rduire les oprations de
maintenance, souvent considres comme fastidieuses et complexes. Grce ces derniers :
Vous disposerez dune nouvelle classe de comptes ddies aux services
Vous naurez plus vous soucier du renouvellement ou de lexpiration des mots de passe
tant donn quils sont automatiquement renouvels
Vous pourrez dlguer ladministration de ces comptes des non administrateurs

Note concernant SQL Server 2008 R2 ou suprieur : si vous faites appel des MSA ou des VSA,
sachez quils ne peuvent pas tre utiliss pour des instances en cluster tant donn que chacun
dentre eux dispose dun SID diffrent.



4

2. Managed Service Account (MSA)

2.1 Prsentation

Un MSA est un compte de domaine spcialement assign un seul et unique ordinateur et conu
pour excuter un service. Il ne peut cependant pas tre utilis pour se connecter un ordinateur. En
rsum, il sagit dun compte administr par le contrleur de domaine et incapable douvrir une
session localement. Sa composition est {DOMAIN}\{Service account}$ et les mots de passes gnrs
possdent une structure de 240 caractres cryptographiques alatoires.

2.1.1 Applications supportes

Les technologies suivantes sont supportes pour utiliser des comptes MSA :
Service Windows : oui
Exchange : oui (pour lenvoi de mail) mais configuration supplmentaire requise
IIS : oui, pour les pools dapplication
SQL Server : oui, mais uniquement partir de SQL Server 2012

2.1.2 Prrequis

Pour mettre en place des MSA, vous devez valider les prrequis suivants :
Schma en version suprieure ou gale Server 2008 R2
o Un schma en version 2008 peut tre utilis mais la gestion des SPN nest pas supporte
Installer le compte sur une version suprieure ou gale Server 2008 R2 ou Windows 7
Installation les commandes PowerShell pour Active Directory ct serveur et client (point 5.1)
Installer le Framework 3.5

2.1.3 Limitations

Les MSA possdent toutefois certaines limitations. De ce fait, ils ne peuvent pas tre utiliss sur :
De multiples ordinateurs
Des nuds en cluster
Un systme de load-balancing (NLB) pour des serveurs web utilisant Kerberos
Une tche planifie

2.2 Mise en place

2.2.1 Cration dun MSA

############## Variables ##############
$MSA_account="MSA_Account" #Account name
$MSA_description="For Service X" #Description
$Encryption="AES256" #Choose between RC4, AES128 or AES256
$TargetComputer="SRV-SQL" #Target computer to link with the MSA account
Import-Module ActiveDirectory

# For Server Server 2012 R2
New-ADServiceAccount $MSA_account -Enabled $true -RestrictToSingleComputer -
KerberosEncryptionType $Encryption -Description $MSA_description

# For Server 2008 R2 & Server 2012
New-ADServiceAccount $MSA_account -Enabled $true -Description $MSA_description
5

Aprs quoi, vous pouvez constater la cration du MSA dans lOU Managed Service Account :

De la mme faon, vous pouvez consulter ses proprits via la commande suivante :
Get-AdServiceAccount identity $MSAaccount

2.2.2 Association du compte

Il faut ensuite associer le MSA cr avec lordinateur sur lequel il sera utilis :

############## 2-Associate acccount with target computer (on DC) ##############
Add-ADComputerServiceAccount -Identity $TargetComputer -ServiceAccount $MSA_account

2.2.3 Installation du compte

Pour terminer, installez ce compte de service sur lordinateur cible. Pour cela, placez-vous sur la
machine allant utiliser ce compte et excutez la commande suivante :

############## 3-Install account on target computer (on target) ##############
Import-Module ActiveDirectory
Install-AdServiceAccount -identity $MSA_account

2.2.4 Configuration du compte avec un service

Nous allons maintenant configurer ce compte pour tre utilis par une instance SQL :
Ouvrez la console SQL Server Configuration Manager et accdez la proprit Log On du
service en question :

6

Dans la console de recherche, modifiez slectionnez votre domaine puis lObject types afin
de faire apparatre les comptes de service :

Laissez le mot de passe en blanc et redmarrez votre service :




7

3. Virtual Service Account (VSA)

3.1 Prsentation

Le VSA est un compte gr localement qui fournit des fonctionnalits permettant de faciliter
ladministration des services. Son format est NT SERVICE\{SERVICE NAME}. Ce type de compte peut
accder aux ressources du rseau mais il devra pour cela sauthentifier avec les credentials du compte
ordinateur de type {DOMAIN}\{COMPUTER}$. Si un VSA est utilis pour un service, le mot de passe
devra tre laiss en blanc.

3.2 Utilisation

Les VSA sont utiliss depuis IIS 7.0 (compte IIS AppPool\DefaultAppPool par exemple) et dans SQL
Server 2012 si les paramtres par dfaut sont utiliss.



8

4. Groupes de services administrs (gMSA)

4.1 Prsentation

Les gMSA ( Group Managed Service Accounts ) sont apparus avec Windows Server 2012 afin de
pallier un des problmes majeur des comptes MSA, savoir lutilisation dun compte sur un seul et
unique ordinateur. De ce fait, il tait par exemple impossible dutiliser un mme compte MSA sur un
cluster SQL. Il fallait donc soit utiliser un compte de service pour chaque serveur, soit crer un ou
plusieurs comptes de domaine pour la ferme de serveurs. Grce au gMSA, cette restriction 1:1 a
t supprime et il est dornavant possible dutiliser un mme compte sur plusieurs serveurs. On
conviendra que cette nouveaut prend tout sens avec la technologie AAG introduite avec SQL Server
2012. Dans son fonctionnement, un gMSA est compte de service associ groupe de scurit dans
lequel seront ajouts les ordinateurs autoriss utiliser ce compte.

4.1.1 Applications supportes

Suite ces nouveauts, les gMSA peuvent dsormais tre utiliss :
Sur des htes multiples
Pour des tches planifies
Pour IIS, SQL Server 2012,
Pour des services Windows

4.1.2 Prrequis

Pour mettre en place des gMSA, vous devez valider les prrequis suivants :
Disposer dun DC avec un schma en version suprieure ou gale Server 2012
Crer une clef racine KDS (dtaill la suite)
Installer le compte sur une version suprieure ou gale Server 2012 ou Windows 8
Installation les commandes PowerShell pour Active Directory (point 5.1)

Clef KDS :
Les contrleurs de domaine sous Windows Server 2012 requirent une clef racine KDS pour la
gnration des mots de passes associes aux comptes gMSA. Aprs sa cration, il est ncessaire
dattendre 10h afin que la rplication entre les DC converge. Il sagit l dune mesure de scurit afin
de sassurer que tous les DC soient en mesure de rpondre aux requtes gMSA (source).

4.2 Mise en place

4.2.1 Configuration du KDS

############## Key Distribution Service (KDS) ##############
Add-KDSRootKey EffectiveImmediately #On production environment - Takes up to 10h
Add-KdsRootKey EffectiveTime ((get-date).addhours(-10)); # On test environment

4.2.2 Cration dun gMSA

############## Variable ##############
Import-Module ActiveDirectory
$gMSA_account="gMSA_Instance1" #Account name
$MSA_description=" SQL instance" #Description
9

$DomainFullName="lab.lan" #Full domain name
$FQDN_MSA_account=$gMSA_account+"."+$DomainFullName
$Encryption="AES256" #Choose between RC4, AES128 or AES256
$TargetComputer="LAB-SQL01" #Target computer to link with the MSA account
$PasswordInterval=30 #In days
$gMSAGroup="SG_SQL_SvcAccounts"


############## 1-Setup gMSA account ##############
New-ADServiceAccount $gMSA_account -DNSHostName $FQDN_MSA_account -KerberosEncryptionType
$Encryption -PrincipalsAllowedToRetrieveManagedPassword $gMSAGroup -
ManagedPasswordIntervalInDays $PasswordInterval -Description $MSA_description -
SamAccountName $gMSA_account

Vous pouvez consulter ses proprits via la commande suivante :
Get-AdServiceAccount identity $MSAaccount

4.2.3 Ajout du compte ordinateur dans un groupe

Ajoutez lordinateur cible du point prcdent ($TargetComputer) dans le groupe de gestion cr cet
gard ($gMSAGroup). Il faut ensuite redmarrer votre serveur cible pour prendre en compte cette
nouvelle appartenance (ou membership ) :

############## 2-Add computer host in group ##############
Add-ADPrincipalGroupMembership -Identity $TargetComputer -MemberOf $gMSAGroup
Restart-Computer # Restart target computer

4.2.4 Installation du compte

Une fois lordinateur cible redmarr, installez le compte gMSA sur ce dernier :

############## 3-Install account on target computer ##############
Import-Module ActiveDirectory
Install-AdServiceAccount $gMSA_account

4.2.5 Configuration du compte avec un service

Rfrez-vous au point 2.2.4 pour cette partie.


10

5. Outils

5.1 Outils PowerShell

Lensemble des commandes utilises pour la cration des comptes de service requirent linstallation
du module Active Directory pour PowerShell sur votre serveur/station de travail :

En PowerShell :
Import-Module ServerManager
Add-WindowsFeature RSAT-AD-PowerShell

5.2 Console GUI

Il existe galement un outil gratuit baptis Managed Service Accounts GUI permettant deffectuer
lensemble des actions dcrites au pralable directement via une interface graphique
(tlchargement).


11

Conclusion


Les MSA apparus avec Server 2008 R2 et les gMSA apparus avec Server 2012 viennent donc combler
un besoin important en termes de scurit concernant lexcution des services. Il ne vous dsormais
sera plus ncessaire de vous proccuper de ladministration de ces comptes tant donn que les
mots de passe seront automatiquement renouvels. Et grce au gMSA, les dploiements de fermes
SQL (par exemple) seront simplifis tout en vous garantissant une scurit accrue. Le tableau ci-
dessous rsume les caractristiques des trois types de comptes prsents dans ce tuto :

VSA MSA gMSA
Peut tre utilis par plusieurs ordinateurs
Disponible sur des systmes antrieurs Windows 7
Activ par dfaut sur le systme
Renouvellement automatique du mot de passe
Dlgation des SPN possible N/A
Utilisable par SQL Server (uniquement 2012 ou suprieur)
Requiert les outils Active Directory








Nhsitez pas menvoyer vos commentaires ou retours ladresse suivante :
m.decrevoisier A-R-0-B-A-5 outlook . com



Soyez-en dores et dj remerci